In Germania, un requisito ISO 27001 può fare riferimento alla certificazione ISO/IEC 27001 convenzionale oppure, nello specifico, allo schema del BSI basato su IT-Grundschutz. Entrambi valutano un sistema di gestione della sicurezza delle informazioni (ISMS), ma il metodo di implementazione e il processo di certificazione sono diversi. Questa guida illustra il percorso del BSI e ciò che i reparti IT interni e i managed service provider (MSP) dovrebbero preparare. Inizia verificando quale schema sia richiesto e quale ambito debba coprire.
La certificazione ISO 27001 basata su IT-Grundschutz è lo schema di certificazione del BSI per un ISMS che soddisfa i requisiti della ISO/IEC 27001 applicando la metodologia IT-Grundschutz. Un audit indipendente, guidato da un responsabile del team di audit ISO 27001 IT-Grundschutz certificato dal BSI, supporta la decisione di certificazione del BSI. Il certificato viene rilasciato dal BSI per l’ambito definito. [1, 2]
Cosa significa ISO 27001 basata su IT-Grundschutz
Partiamo da alcuni termini, perché è proprio dal vocabolario che nasce la maggior parte della confusione.
- La ISO/IEC 27001:2022 è la norma internazionale che specifica i requisiti di un ISMS. Riguarda il modo in cui un’organizzazione istituisce, gestisce, riesamina e migliora la sicurezza delle informazioni. L’Allegato A fornisce i controlli di riferimento utilizzati nel trattamento del rischio. [3]
- BSI (Bundesamt für Sicherheit in der Informationstechnik) è l’Ufficio federale tedesco per la sicurezza informatica.
- IT-Grundschutz è la metodologia e il catalogo di requisiti di sicurezza del BSI. Rispetto alla ISO 27001 è più prescrittivo su come analizzare il proprio ambiente e su quali misure di sicurezza applicare.
- L’oggetto dell’audit (Untersuchungsgegenstand) è ciò che l’audit esamina all’interno dell’ambito definito (Geltungsbereich). Il dominio informativo (Informationsverbund) comprende le componenti organizzative, di personale, tecniche e infrastrutturali che supportano i processi inclusi nell’ambito.
Il percorso del BSI combina i requisiti della ISO/IEC 27001 con un metodo definito di implementazione e valutazione. La certificazione si applica all’ambito indicato sul certificato: non copre automaticamente ogni unità di business, servizio o ambiente cliente. Il fatto che questo percorso sia necessario dipende dallo specifico requisito legale, contrattuale o di gara. [1, 2]
Come si integrano ISO 27001 e IT-Grundschutz
La ISO/IEC 27001 definisce i requisiti del sistema di gestione e consente alle organizzazioni di scegliere metodi adeguati di valutazione e trattamento del rischio. IT-Grundschutz offre un modo strutturato per implementare la sicurezza delle informazioni. Le risorse principali sono:
- Lo standard BSI 200-1 descrive i requisiti generali e le responsabilità di gestione di un ISMS. [4]
- Lo standard BSI 200-2 descrive la metodologia IT-Grundschutz, inclusi l’analisi strutturale, la determinazione del fabbisogno di protezione, la modellazione e l’IT-Grundschutz Check. [5]
- Il Compendio IT-Grundschutz contiene i moduli (Bausteine) che coprono i requisiti di sicurezza per processi, sistemi e infrastrutture. Seleziona i moduli applicabili e utilizza l’edizione richiesta dalla tua procedura di certificazione. [6]
- Lo standard BSI 200-3 fornisce un metodo per l’analisi e il trattamento del rischio, incluse le situazioni che richiedono una valutazione che va oltre le ipotesi standard del Compendio. [7]
Utilizzare IT-Grundschutz non significa di per sé che un’organizzazione sia certificata. La certificazione richiede anche la prova che l’ISMS funzioni in modo efficace e soddisfi i requisiti applicabili della ISO/IEC 27001 e dello schema del BSI. [2, 8]
Confronto tra i due percorsi di certificazione
| Aspetto | Certificazione ISO 27001 convenzionale | ISO 27001 basata su IT-Grundschutz |
| Base normativa | Requisiti della ISO/IEC 27001 | ISO/IEC 27001 più i requisiti dello schema del BSI |
| Metodo di implementazione | Metodi di valutazione e trattamento del rischio scelti dall’organizzazione | Metodologia del BSI e moduli applicabili del Compendio |
| Documentazione | Evidenze richieste dalla ISO/IEC 27001 e dall’ISMS dell’organizzazione | Evidenze dell’ISMS più la documentazione di riferimento del BSI e i registri relativi alla metodologia |
| Audit e certificato | Un ente di certificazione esterno; la certificazione accreditata fornisce una garanzia indipendente della sua competenza | Audit indipendente guidato da un responsabile del team di audit certificato dal BSI; decisione di certificazione e certificato rilasciati dal BSI |
| Riconoscimento | Ampiamente utilizzata a livello internazionale; verifica i requisiti del destinatario | Basata sulla norma internazionale ISO, con uno schema specifico del BSI; verifica l’accettazione nelle gare e da parte dei clienti |
| Motivo tipico della scelta | Flessibilità nel modo in cui l’ISMS viene implementato | Un requisito che impone lo schema del BSI o la preferenza per la metodologia IT-Grundschutz |
Entrambi i percorsi richiedono un ISMS efficace. Nessuno dei due garantisce che non si verifichino incidenti di sicurezza. [1–3]
Chi dovrebbe valutare questo percorso di certificazione
Considera questi come scenari di valutazione, non come obblighi:
- Organizzazioni che operano in Germania i cui clienti richiedono espressamente il percorso basato sul BSI
- Fornitori di enti del settore pubblico, dove i documenti di gara possono farvi riferimento
- Aziende enterprise attente alla sicurezza che desiderano un metodo definito e prescrittivo
- MSP che assistono clienti appartenenti a uno di questi gruppi e che devono produrre evidenze coerenti tra diversi ambienti
Il primo passo è semplice: leggi il contratto, il bando di gara o il requisito del cliente per capire quale percorso viene indicato.
Quali approcci IT-Grundschutz consentono la certificazione
Il BSI offre la certificazione ISO 27001 basata su IT-Grundschutz per Standard-Absicherung e Kern-Absicherung. La Standard-Absicherung affronta in modo completo il dominio informativo definito. La Kern-Absicherung si concentra su un’area delimitata con cura che contiene gli asset o i processi più importanti dell’organizzazione. Il relativo certificato copre quell’area definita, non l’intera organizzazione. [1, 5]
La Basis-Absicherung è un approccio di livello base. Un Testat per la Basis-Absicherung può documentarne l’implementazione, ma non è un certificato ISO 27001. [1]
Come si svolge il percorso di certificazione
Pianifica insieme l’implementazione e la domanda formale. Coinvolgi fin da subito un responsabile del team di audit qualificato per concordare l’ambito, le versioni applicabili, la documentazione e le tempistiche. La sequenza pratica riportata di seguito segue l’approccio IT-Grundschutz consolidato. [2, 5, 8]
- Definisci l’ambito e l’approccio. Individua processi, servizi, sedi, dipendenze e attività esternalizzate da includere. Scegli Standard-Absicherung o Kern-Absicherung secondo le esigenze.
- Istituisci l’ISMS. Ottieni l’impegno della direzione, assegna responsabili, definisci obiettivi e policy di sicurezza delle informazioni e metti a disposizione le risorse necessarie. [4]
- Esegui l’analisi strutturale. Documenta processi, informazioni, applicazioni, sistemi, reti, locali e dipendenze rilevanti all’interno del dominio informativo. [5]
- Determina il fabbisogno di protezione. Valuta le esigenze di riservatezza, integrità e disponibilità, considerando anche come i requisiti si propagano attraverso le dipendenze. [5]
- Modella il dominio informativo. Associa i moduli rilevanti del Compendio agli oggetti e ai processi inclusi nell’ambito. [5, 6]
- Svolgi l’IT-Grundschutz Check. Confronta i requisiti applicabili con l’implementazione attuale e documenta evidenze, lacune e i casi di non applicabilità motivata. [5]
- Effettua un’analisi del rischio aggiuntiva dove necessario. Rientrano in questi casi un fabbisogno di protezione elevato o molto elevato, gli oggetti non adeguatamente coperti dai moduli e gli scenari operativi atipici. Scegli misure di sicurezza aggiuntive e documenta il trattamento e l’accettazione del rischio. [7]
- Implementa e verifica le misure di sicurezza. Assegna responsabili e scadenze, colma le lacune e conserva le evidenze che i controlli funzionino. Mantieni aggiornata la Dichiarazione di applicabilità con le relative motivazioni di selezione dei controlli. Completa gli audit interni e il riesame della direzione. [4, 8]
- Presenta la domanda al BSI e organizza l’audit indipendente. Invia la domanda e la documentazione di riferimento richieste e rispetta i requisiti di indipendenza previsti dallo schema. Concorda queste attività con sufficiente anticipo rispetto alla data di audit prevista. [2]
- Completa l’audit e l’esame per la certificazione. L’audit comprende la verifica documentale e la valutazione dell’implementazione. Risolvi i rilievi e trasmetti il rapporto di audit all’esame del BSI; la certificazione segue una decisione positiva del BSI. [2, 8]
- Mantieni la certificazione. Continua a gestire e migliorare l’ISMS, tenendo aggiornate le evidenze e le informazioni sull’ambito. Pianifica le attività di sorveglianza e di ricertificazione. [9]
Un certificato del BSI ha in genere una validità di tre anni, subordinata ad audit di sorveglianza annuali. Per proseguire oltre tale periodo è necessaria la ricertificazione. Quando pianifichi le tempistiche, verifica quale schema si applichi e quali eventuali disposizioni transitorie siano in vigore. [9]
Checklist rapida di preparazione
- Definisci l’ambito, inclusi servizi esternalizzati e interfacce; scegli Standard-Absicherung o Kern-Absicherung
- Verifica quale percorso si aspettano i tuoi clienti, gli uffici acquisti o le autorità di vigilanza
- Istituisci o riesamina l’ISMS e assegna i responsabili
- Completa l’analisi strutturale e la determinazione del fabbisogno di protezione
- Modella il dominio informativo utilizzando la metodologia applicabile
- Completa l’IT-Grundschutz Check, le analisi del rischio aggiuntive necessarie e i registri delle azioni correttive
- Raccogli evidenze aggiornate su asset, configurazioni, patching, accessi, backup, ripristino e applicazione delle policy
- Concorda la domanda, i documenti di riferimento e le modalità dell’audit indipendente
- Completa gli audit interni e il riesame della direzione; prevedi a budget sorveglianza e ricertificazione
Le evidenze operative che i team IT dovrebbero preparare
I registri operativi IT fanno parte delle evidenze di un ISMS. Quelli che seguono sono esempi pratici, non un elenco completo dei documenti di audit. Insieme alle evidenze tecniche, includi i documenti di governance come ambito, trattamento del rischio, Dichiarazione di applicabilità, rilievi degli audit interni e riesame della direzione. [4, 8]
- Visibilità sugli asset: un inventario aggiornato e completo dei dispositivi e del software inclusi nell’ambito, riconciliato in modo che i sistemi non gestiti risultino visibili
- Patching e remediation delle vulnerabilità: policy di patch, report di conformità datati, registri delle distribuzioni fallite ed eccezioni approvate
- Applicazione delle policy: baseline di configurazione e registri che ne dimostrino l’applicazione
- Accessi e supporto remoto: approvazioni e revoche degli accessi, revisioni dei privilegi, impostazioni di autenticazione e i relativi log di sessione o attività, conservati secondo una policy adeguata di accesso e conservazione
- Backup e ripristino: cronologia dei processi di backup e risultati dei test di ripristino
- Documentazione: documentazione aggiornata di rete e sistemi, procedure e registri delle responsabilità
- Reporting: report ripetibili e datati, non screenshot estemporanei
Come può aiutare una piattaforma unificata per le operazioni IT
NinjaOne può supportare gli inventari degli endpoint, la distribuzione delle patch e il reporting, le operazioni di backup, l’accesso remoto e la documentazione IT. Queste funzionalità possono aiutare i reparti IT interni, inclusi i team enterprise, e gli MSP a mantenere le evidenze operative. La copertura dipende dai prodotti implementati, dai sistemi supportati e dalla configurazione; associa ogni report a un requisito specifico e verifica che copra l’ambito previsto. [10]
Gli strumenti supportano controlli ed evidenze. Non concedono, non garantiscono e non sostituiscono la certificazione, che dipende dal tuo ISMS, dal tuo ambito e dal processo di audit.
Errori di pianificazione più comuni
- Ambito poco chiaro: un oggetto dell’audit troppo ampio, troppo ristretto o non concordato con le parti interessate
- Inventari obsoleti: una modellazione costruita su elenchi di asset che non rispecchiano più la realtà
- Evidenze incoerenti: report senza data, responsabile o fonte
- Logica “una tantum”: trattare la certificazione come un progetto anziché come una pratica continuativa
- Confondere gli ambiti di certificazione: il certificato di un fornitore o di un MSP non certifica automaticamente l’ambiente di un cliente; allo stesso modo, la certificazione di un prodotto non certifica l’ISMS di un’organizzazione
- Affidarsi a fonti secondarie: pagine di consulenti o fornitori al posto del materiale aggiornato del BSI
Prepararsi a Grundschutz++
A ottobre 2026, il BSI ha pubblicato una guida alla metodologia Grundschutz++ datata 1 aprile 2026, che descrive un approccio orientato ai processi con requisiti leggibili da macchina. Il BSI precisa che l’attuale IT-Grundschutz resta applicabile durante una transizione pluriennale. [11, 12]
Prima di avviare un audit iniziale o di rinnovo, verifica con il BSI e con il responsabile del tuo team di audit quale base di certificazione, quali versioni dei documenti e quali regole di transizione si applichino alle tue tempistiche. Mantieni tracciabili inventari, decisioni sul rischio, responsabilità ed evidenze, in modo che possano supportare una futura migrazione.
